Что такое идентификация?
Предположим, что есть определенная система или база данных, где содержится ряд из параметров (идентификаторов), например:
- ID пользователя;
- ФИО (фамилия, имя и отчество);
- номер телефона;
- IMEI-устройства;
- адрес электронной почты;
- логин (никнейм);
- реквизиты банковской карты;
- номер автомобиля;
- серийный номер (штрих-код);
- трек-номер;
- смарт-карта;
- адрес веб-сайта;
- и т. д.
Каждый раз, когда что-либо покупаете в Интернете, где-либо регистрируетесь, Вы получаете идентификатор — определенный параметр позволяющий взаимодействовать с системой. Как правило, он является уникальным — не пересекается с другими информационными системами, участниками и пользователями. Таким образом, при необходимости получить доступ к системе или узнать какие-либо сведения, потребуется предоставить один или несколько идентификаторов. Исходя из этого, можно сказать, что идентификации — процесс позволяющий однозначно определить (распознать) субъект или объект, по его идентификатору, в той или иной системе.
Для большего понимания давайте рассмотрим на примере простой ситуации. Вы находитесь дома, занимаетесь своими делами. В один момент Вы слышите звонок в дверь и направляетесь открывать. Подойдя к двери смотрите в глазок, но никого не видите, спрашиваете: “Кто там?” и слышите в ответ: “Это я, ИМЯ человека!”. Имя человека по ту стороны двери, в данной ситуации, является идентификатором. Правильный или неправильный ответ на вопрос — процесс идентификации.
Рассмотрим на примере другой ситуации. Вы совершаете звонок в банк с целью получить какую-либо информацию по Вашей банковской карте. Сотрудник, отвечающий на Ваш звонок, прежде чем предоставить информацию, обязан Вас идентифицировать. Помимо номера телефона, он может запросить у Вас другой идентификатор, например, номер банковской карты или ФИО. Ваш ответ, в данном случае — идентификация.
Что такое аутентификация?
Для того чтобы предотвратить несанкционированный доступ к системе и данным, одной лишь идентификации недостаточно, поэтому применяют аутентификацию, а в последнее время, все более актуальным становится вопрос — двухфакторной аутентификации. Использование той или иной характеристики в системе зависит от требуемой надёжности, защищённости и стоимости внедрения.
Понятие аутентификации подразумевает проверку подлинности идентификатора или человека (объекта или субъекта). Для этого выделяют три основных фактора аутентификации:
- знания (то, что известно только нам) – пароль, ПИН-код, графический ключ и т. д.;
- владения (то, что имеем только мы) – мобильное устройство, смарт-карта, ключ и т. п.;
- свойства (то, что является нашей неотъемлемой частью) – биометрические параметры (отпечатки пальцев и ладони, голос, сетчатка глаза и т. д.).
Для общего понимания, рассмотрим на предыдущих примерах. В первом случае, когда к Вам приходят незваные гости и на вопрос “Кто там?” в ответ слышите только имя — это будет идентификация. Порой ее недостаточно, поэтому если спросить какую-либо информацию (фактор аутентификации), которую знает только данный человек, например: “Какое у Вас имя? Сколько лет? На какой ягодице у Вас родинка? и т.д.”, то ответ данного человека — аутентификация.
В случае общения с сотрудником в банке, если информация или требуемые действия будут выходить за рамки идентификации, то сотрудник, для подтверждения подлинности, попросит уточнить фактор аутентификации, например, кодовое слово или последние 3 операции по карте (с точным перечислением содержимого и стоимости). Ваш ответ на его запрос — процесс аутентификации.
Что такое авторизация?
Предоставление доступа к той или иной системе, присутствие в ней и выполнения определенных действий — авторизация. Понятие подразумевает, что человек прошедший авторизацию получает полное право выполнять действия в рамках его привилегий и полномочий, для этого в информационной системе могут применять три основные категории:
- избирательное управление доступом — доступ к информации и выполнению тех или иных действий предоставлен определённому пользователю или группе пользователей;
- мандатное управление — предоставление и ограничение доступа к информации по степени ее секретности. Действия пользователей регламентируется уровнями доступа или же должностью пользователей;
- доступ по ролям — гибкая форма разграничения доступа, сочетающая две предыдущие, которая варьируется в зависимости от ситуации, в конкретный период времени.
Если рассмотреть на приведенных примерах, то в первом случае, если человек пройдет идентификацию и аутентификацию, и Вы откроете ему дверь для доступа в квартиру — это будет считаться авторизацией.
Вторая ситуация, в момент, когда банковский сотрудник получит необходимые ему сведения, а затем предоставит или сделает желаемое для Вас (например, перевод денежных средств) – этот процесс будет называться авторизацией.
Связь между идентификацией, аутентификацией и авторизацией
Все три выше перечисленных процесса взаимодействуют между собой и не существуют друг без друга. В первую формируется идентификатор, затем происходит подтверждения подлинности и соответствия, а в последствие — Вы пользуетесь всеми возможностями и преимуществами системы, в рамках своих полномочий.
В Интернете на каком-либо сайте это будет выглядеть подобным образом:
- идентификация — проходите регистрацию;
- аутентификация — используете логин и пароль;
- авторизация — пользуетесь предоставленными ресурсами и возможностями.
Ссылки:
Механизмы аутентификации в пользовательских интерфейсах
Идентификация, Аутентификация, Авторизация. В чем же разница?